En el resumen de esta semana, CTI analiza en profundidad el malware «Realst», que se está utilizando en una amplia campaña dirigida contra ordenadores de Apple. A continuación, CTI destaca un informe sobre cómo los autores de amenazas están vendiendo registros de malware diseñado para el robo de información en la dark web y en canales de Telegram. Por último, CTI ofrece una visión general de una nueva campaña de malware de «acceso inicial» denominada «Nitrogen», que se hace pasar por software legítimo para infectar a las víctimas con cargas útiles de Cobalt Strike y ransomware.
1. Un malware de robo de información de Realst ataca a macOS Sonoma antes de su lanzamiento al público
SentinelOne ha analizado recientemente 59 muestras maliciosas de Mach-O de del malware de robo de información «Realst», que se está utilizando en una amplia campaña dirigida contra ordenadores Apple.
Los investigadores han detectado algunas muestras de este nuevo malware «Rust» que ya tienen como objetivo la próxima versión del sistema operativo de Apple, macOS 14 Sonoma. El malware infecta tanto a los usuarios de Windows como a los de macOS a través de juegos falsos basados en blockchain que se promocionan en las redes sociales.
Distribución de Realst
El programa malicioso « » (Realst infostealer) se distribuye a través de sitios web maliciosos que anuncian juegos falsos basados en blockchain, como «Brawl Earth», «WildWorld», «Dawnland», «Destruction», «Evolion», «Pearl», «Olymp of Reptiles» y «SaintLegend».
Cada versión del juego falso está alojada en su propia página web y cuenta con sus propias cuentas asociadas en Twitter y Discord. También se ha observado que los autores de amenazas se ponen en contacto directamente con posibles víctimas a través de mensajes directos en las redes sociales.
Acerca de los instaladores maliciosos de Realst
Algunas versiones del programa de robo de información se distribuyen a través de Evolion.pkg, un instalador .pkg que contiene un archivo Mach-O malicioso y tres scripts relacionados.
- Uno de los scripts es un programa de robo de información multiplataforma para Firefox.
- Otro script es una copia del proyecto de código abierto «chainbreaker». Este script extrae contraseñas, claves y certificados de la base de datos del llavero de macOS.
- El tercer script es un script de desinstalación muy básico que no presenta ningún comportamiento malicioso real.
Otras versiones de Realst se distribuyen a través de imágenes de disco .dmg. Se ha observado que los desarrolladores incluyen el malware en aplicaciones de Electron y en paquetes de aplicaciones nativas de macOS.
Algunas muestras se diseñaron conjuntamente con un ID de desarrollador de Apple específico que, desde entonces, ha sido revocado. Otras muestras se firman de forma puntual y seguirán publicándose, ya que estas firmas no pueden revocarse de forma remota.
Análisis dinámico de las variantes de Realst
Desde una perspectiva conductual, las muestras de Realst presentan un aspecto similar en todas las variantes. En ocasiones, utilizan llamadas a la API diferentes y presentan algunas variaciones en las dependencias. Pero, en definitiva, todos ellos extraen datos del navegador, de carteras de criptomonedas y de bases de datos de llaveros. Realst está diseñado para los navegadores Firefox, Chrome, Opera, Brave y Vivaldi. También puede dirigirse a Telegram.
La mayoría de las variantes de Realst intentan obtener la contraseña del usuario mediante osascript y la suplantación de AppleScript, y realizan comprobaciones para confirmar que el dispositivo anfitrión no es una máquina virtual. El programa de robo de información recopila datos y los guarda en una carpeta denominada «data». Esta carpeta aparece en una de varias ubicaciones, dependiendo de la versión del malware. Si el malware consigue obtener permiso para realizar capturas de pantalla, también guarda una captura de pantalla del escritorio de la víctima en la misma ubicación de archivo.
Análisis estático de las variantes de Realst
SentinelOne identificó 16 variantes diferentes en un total de 59 muestras de Realst y las clasificó en cuatro familias principales. Sin embargo, existen muchos solapamientos que les permitirían establecer una distinción diferente. Dicho esto, eligieron su taxonomía de clasificación basándose en artefactos de cadena que facilitaran a los cazadores de amenazas la identificación y la detección.
- Familia de variantes A: . Hay 26/59 muestras que pertenecen a la variante A. La característica que define estas variantes es la inclusión de cadenas completas relacionadas con la suplantación de AppleScript. En estas variantes se utiliza la suplantación de AppleScript para obtener la contraseña de administrador del usuario en texto sin cifrar. Utiliza la opción de «respuesta oculta» para evitar que el usuario vea los caracteres que teclea, sustituyéndolos por viñetas. En segundo plano, el cuadro de diálogo de AppleScript captura la contraseña y la registra en texto sin cifrar. Estas muestras también incluyen cadenas completas relacionadas con la lucha contra el análisis mediante la detección de máquinas virtuales en forma de «hw.model».
- Familia de variantes B: . 10/59 muestras pertenecen a la variante B. Estas variantes se caracterizan por dividir las cadenas en unidades más pequeñas, lo que probablemente les permita eludir la detección estática simple. Aparte de esto, estas muestras son muy similares a la variante A.
- Familia de variantes C: . Hay 7/59 muestras que pertenecen a la variante C. Estas variantes se caracterizan por introducir una referencia a «chain breaker» dentro del binario Mach-O.
- Familia de variantes D: Hay 16/59 muestras que pertenecen a la variante D. En esta variante, la obtención de contraseñas se lleva a cabo mediante un mensaje que aparece en la ventana de la Terminal. En algunos casos, el malware también utilizaba la contraseña obtenida para elevar los privilegios mediante el comando «sudo» e instalar el paquete «pycryptodome» de Python.
Realst se prepara para macOS 14 Sonoma
Roughly one-third of the samples identified by SentinelOne contained strings targeting macOS 14 Sonoma.
Los artefactos de cadena aparecieron en la mitad de las muestras de la variante A y en todas las muestras de la variante B, pero no en las de las variantes C ni D. Por el momento, no está claro cómo afectaría la diferencia entre Sonoma y Ventura a la ejecución de Realst.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Teniendo en cuenta el número de muestras de Realst que se han identificado y las variaciones entre ellas, podemos afirmar que el autor de la amenaza ha dedicado un gran esfuerzo a desarrollar este programa de robo de información».
Ya podemos observar que el autor de la amenaza está planificando y preparándose para el próximo lanzamiento del sistema operativo de Apple. «Es probable que veamos nuevas variantes de Realst de aquí al lanzamiento de Sonoma, ya que el autor de la amenaza parece estar modificando continuamente su malware».
2. El crecimiento exponencial del malware de robo de información: más de 300,000 credenciales corporativas a la venta
La empresa de ciberseguridad Flare ha analizado recientemente 20 millones de registros de malware de robo de información que se vendían en la dark web y en canales de Telegram. Su análisis revela que hay aproximadamente 375,000 registros que contienen datos de acceso a credenciales empresariales de aplicaciones populares como Salesforce, QuickBooks, AWS, Google Cloud, DocuSign y otras.
El uso de malware de robo de información ha experimentado un crecimiento exponencial, lo que lo ha convertido en una de las principales tendencias del sector en los últimos años. Diversas variantes de programas de robo de información recopilan datos de dispositivos comprometidos y, a continuación, empaquetan y venden estos registros de robo a través de la dark web y Telegram. El análisis de Flare examina múltiples conjuntos de datos y suma un total de más de 19.6 millones de registros de programas de robo de datos.
Los niveles de acceso del programa de robo de información
Flare clasifica los registros de robo de credenciales en tres niveles, en función del tipo de credenciales que contienen y del tipo de acceso que es probable que el actor malicioso intente obtener al aprovecharlas.
Registros de nivel 1: credenciales corporativas de gran valor
A menudo, los usuarios guardan las contraseñas en sus navegadores para mayor comodidad. Cuando un malware de robo de información infecta un dispositivo, compromete simultáneamente todas las credenciales guardadas en el navegador. Esto puede incluir sistemas de gestión de relaciones con los clientes (CRM), credenciales para RDP, VPN, acceso a aplicaciones SaaS y mucho más. Los autores de amenazas valoran las credenciales corporativas por razones obvias. Los intermediarios de acceso inicial (IAB) también suelen buscar estas credenciales para revenderlas en foros de la dark web.
Para determinar si un dispositivo infectado tenía acceso a la red corporativa a gran escala, Flare identificó ciertos indicadores que, en su opinión, probablemente estén relacionados con dicho acceso.
- Infraestructura informática corporativa: Flare comenzó por analizar los registros en busca de inicios de sesión que tuvieran acceso a las consolas de gestión de AWS y Google Cloud. Esto dio como resultado 181,785 registros, de los cuales 179,411 eran credenciales de la consola de AWS. Aproximadamente el 75 % de estas credenciales aparecieron tanto en salas públicas como privadas de Telegram, el 24 % en Russian Market y menos del 1 % en Genesis Market.
- Contactos empresariales y aplicaciones financieras: Otra clasificación utilizada por Flare fue la de aplicaciones financieras empresariales, como Intuit QuickBooks y DocuSign. Se identificaron 80,099 registros con acceso a alguna de estas aplicaciones, 64,000 de los cuales correspondían a credenciales de DocuSign.
- Aplicaciones de CRM y de datos de clientes: Flare analizó dos de los principales proveedores de CRM, entre ellos Salesforce y Hubspot, y detectó un total de 66,000 registros que indicaban accesos al CRM, de los cuales aproximadamente 23,000 correspondían a cuentas de Salesforce.
- OpenAI y ChatGPT: Flare también buscó registros de programas de robo que contuvieran «openai[.]com» y encontró más de 200,000 registros.
Registros del Nivel 2 : Banca y servicios financieros
Estos registros contienen credenciales de los principales bancos, que a su vez son utilizadas por los autores de las amenazas para sustraer dinero de las cuentas de los consumidores. En Genesis Market se venden por una media de 112 dólares, frente a una media de 15 dólares en el conjunto de los registros.
Según Flare, se trata del segundo tipo de registros de «stealer» más valorado. Flare analizó 213 empresas de servicios financieros para determinar qué porcentaje de ellas tenía registros en los que sus dominios figuraban en un registro de un programa de robo de datos y cómo variaba el precio de dichos registros. Descubrieron que el precio medio de los dispositivos infectados a la venta en Genesis Market que incluían datos de acceso a servicios financieros rondaba los 112 dólares, frente a los apenas 14 dólares de aquellos que no los incluían. Los 50 principales bancos de EE. UU. tienen registradas unas 200,000 entradas de robo de credenciales relacionadas con los inicios de sesión en la banca minorista.
Registros de Tier 3 :: Aplicaciones para consumidores:
Los autores de amenazas utilizan estos registros para acceder a aplicaciones VPN de consumo, servicios de streaming y otras aplicaciones. Se trata de los troncos de menor valor, que suelen venderse a un precio de entre 10 y 15 dólares por tronco.
Flare analizó los 50 dominios que aparecían con mayor frecuencia en su muestra de registros del programa de robo de datos. Google, Gmail, Facebook y Microsoft ocupan los primeros puestos de la lista y suelen tener registros de programas de robo de datos asociados. Amazon, Netflix, Instagram, PayPal y varias otras empresas también se situaron cerca de los primeros puestos de la lista.
¿Dónde se distribuyen los troncos de pino?
Los registros de los programas de robo se distribuyen en cuatro categorías, entre las que se incluyen los canales públicos de registros de Telegram, los canales privados de Telegram, Russian Market y Genesis Market.
- Los canales públicos de Telegram «logs» son canales de Telegram de acceso público que proporcionan terabytes de registros de programas de robo de datos al mes. Esto incluye, principalmente, los registros de nivel 3 .
- Los canales privados de Telegram están gestionados por actores maliciosos para distribuir grandes cantidades de registros mediante un modelo de suscripción mensual con el fin de obtener beneficios económicos por el acceso. Por lo general, se trata de registros de mayor valor, y el canal es de acceso exclusivo por invitación y suele estar limitado a entre 25 y 30 usuarios.
- Russian Market es un mercado de la dark web especializado en la venta de acceso a dispositivos e información. El foro fija el precio de todos los troncos por igual en 10 dólares por tronco.
- Genesis Market funcionaba como un mercado de la «web clara» antes de su reciente cierre por parte de las fuerzas del orden. Más recientemente, funcionaba íntegramente a través de Tor. Este foro proporcionaba datos de registro más estructurados y analizados, y contaba con una interfaz que permitía a los autores de amenazas clonar la huella digital del navegador de una víctima. Los precios de los troncos en este foro variaban en función del tronco.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«En los últimos años han sido numerosas las campañas de robo de información que han acaparado la atención, por lo que no es de extrañar que la investigación de Flare haya revelado un número tan elevado de registros de robo de información en diversas plataformas que suelen utilizar los autores de amenazas».
El informe de Flare no entra en detalles sobre qué registros procedían de cada variante de programa de robo de información, lo cual se debe probablemente a que hoy en día existen muchísimos programas de este tipo y surgen nuevas variantes con regularidad. Incluso sin esta información, resulta revelador comprobar cuánto dinero puede llegar a ganar un actor malintencionado con una sola credencial. «Esto pone de manifiesto lo lucrativas que resultan estas operaciones para los ciberdelincuentes».
3. Google Ads difunde el nuevo malware «Nitrogen» para llevar a cabo ataques de ransomware
Sophos ha publicado un informe sobre una nueva campaña de malware de acceso inicial denominada « Nitrogen» ( ), que utiliza publicidad maliciosa y se hace pasar por software legítimo para infectar a las víctimas con cargas útiles de Cobalt Strike y ransomware. La campaña tiene un carácter principalmente oportunista y se dirige a los usuarios que buscan en Google o Bing herramientas informáticas específicas.
Acerca de la familia de malware «Nitrogen»
Sophos descubrió una nueva familia de malware de acceso inicial denominada «Nitrogen» durante su investigación. El nombre «Nitrogen» se deriva de algunos componentes de la información de depuración que se halló en muchas de las muestras, lo que indica que los desarrolladores se refieren a este proyecto como «Nitrogen» o «Nitronet».
Los componentes principales utilizan los siguientes nombres de clase: NitrogenStager, MsfPythonStager, NitronetNativeStager y NitroInstaller.
La cadena de infección comienza con publicidad maliciosa a través de anuncios de Google o Bing. Su objetivo es atraer a las víctimas a sitios web de WordPress comprometidos o a páginas de phishing de , como. Estos sitios suelen hacerse pasar por páginas de distribución de software para engañar a los usuarios y que descarguen instaladores ISO que contienen troyanos. A continuación, estos instaladores instalan de forma no oficial el archivo DLL malicioso «NitrogenInstaller», que contiene una aplicación de software legítima junto con un entorno de ejecución de Python malicioso. La campaña instala un shell de Meterpreter y balizas de Cobalt Strike en el sistema afectado.
La campaña utiliza anuncios de pago por clic de Google y Bing para suplantar la identidad de sitios web. Parece que se dirige a los usuarios de TI, ya que entre los sitios web falsificados se encuentran los instaladores de AnyDesk, WinSCP y Cisco AnyConnect VPN. En uno de los casos también se utiliza un instalador infectado con un troyano de TreeSize Free.
- Ejemplo de WinSCP: Cuando un usuario buscaba «WinSCP» en Google, aparecía un anuncio de Google que hacía referencia a «Transferencia segura de archivos – para Windows» en una página de phishing que se hacía pasar por una guía para administradores de sistemas. Cuando el usuario hace clic en el anuncio de esta página, se le redirige a una página de descarga falsa de WinSCP y se instala un archivo ISO malicioso en el sistema.
- Ejemplo de Cisco AnyConnect: Además de las páginas de phishing, el autor de la amenaza también alojó malware en sitios web de WordPress comprometidos. En un caso, utilizaron un sitio web comprometido para imitar el sitio web legítimo de descargas de Cisco para Cisco AnyConnect. El enlace de descarga de este sitio web le redirigiría entonces a una página de phishing, desde la que se descargaría el paquete malicioso «Nitrogen».
Instalación paralela de archivos DLL
Cuando las víctimas descargan los instaladores infectados con troyanos, estos se guardan como imágenes ISO en el equipo infectado. A continuación, estos archivos se montan en el Explorador de Windows y pueden asignarse a una unidad, donde su contenido quedará disponible. Uno de los archivos que contiene la imagen ISO es la herramienta de Windows «msiexec.exe», cuyo nombre se ha cambiado a «install.exe» o «setup.exe».
Cuando se ejecute, se instalará de forma no oficial el archivo malicioso msi.dll (también conocido como NitrogenInstaller), que se encuentra almacenado en la misma imagen. En esta campaña, el autor de la amenaza utiliza el proxy de DLL reenviando las funciones exportadas al archivo msi.dll legítimo.
NitrogenInstaller
El archivo msi.dll descargado de forma paralela, conocido como NitrogenInstaller, instalará un instalador limpio para la aplicación legítima que sirve de señuelo, junto con dos paquetes de Python: uno legítimo y otro malicioso. Se necesita el paquete legítimo de Python para ejecutar código Python en una fase posterior de la cadena de infección. Asimismo, intentará elevar sus privilegios mediante la ejecución de una técnica de elusión del UAC, algo habitual en diversas familias de malware y ransomware. A continuación, el archivo DLL de NitrogenInstaller creará una clave de ejecución en el Registro para garantizar la persistencia.
Para cargar el archivo DLL de NitrogenStager en el paquete malicioso de Python, los autores de la amenaza utilizaron la precarga de DLL. Esto aprovecha el orden de búsqueda de DLL propio de Windows cuando una aplicación intenta cargar una biblioteca sin especificar una ruta completa. NitrogenStager no puede ejecutar scripts de Python, ya que su función principal ha sido sustituida por código malicioso de reconexión.
C2 de puesta en escena
El código malicioso de reconexión incluido en la función Py_Main se ejecutará automáticamente al ejecutarse el programa. Se ha observado que NitrogenStager se conecta a C2 servidores utilizando cuatro protocolos diferentes: TCP, TCP sobre SSL, HTTP y HTTPS. El paquete contiene un script independiente para cada protocolo; cada uno de ellos puede conectarse al servidor C2 , descodificar las respuestas y ejecutarlas.
Shell de Meterpreter
El script de la siguiente etapa, descargado por la DLL NitrogenStager, es una adaptación de un script de Meterpreter. Una vez ejecutado, el script de Python establece un shell TCP inverso de Meterpreter, lo que permite a los autores de la amenaza ejecutar código de forma remota en el sistema.
Sesiones manuales
En un caso, los autores de la amenaza ejecutaron varios comandos a través de la sesión abierta, pasando a realizar acciones manuales en el teclado.
Los comandos manuales recuperaron un archivo ZIP de un servidor C2 . Además, descargó y ejecutó un entorno adicional de Python para invocar una serie de scripts de Python que dan lugar a la ejecución en memoria de balizas de Cobalt Strike. Asimismo, se ejecutaron comandos manuales para llevar a cabo el proceso de detección y enumerar el dominio. Las sesiones presuntamente manuales hacen referencia a scripts de Python que los autores de la amenaza descargaron de un servidor de Cobalt Strike C2 .
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El malvertsing se está volviendo bastante popular entre los autores de amenazas en la actualidad, por lo que es evidente que lo consideran una actividad lucrativa». Esta campaña de malware denominada «Nitrogen», aunque sigue siendo bastante oportunista, se dirige a usuarios que buscan utilidades informáticas específicas que se utilizan habitualmente en las empresas.
Dado que estos anuncios maliciosos suelen aparecer como resultados patrocinados en los motores de búsqueda, CTI recomienda evitar hacer clic en los resultados patrocinados, especialmente cuando se buscan descargas.
¿Tiene alguna información sobre estas noticias que desee compartir? Visite , , el foro de debate de Taniumy para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
